В этом разделе описаны варианты развертывания роли пограничного транспортного сервера Microsoft Exchange Server 2007 в существующей топологии Exchange Server. Кроме того, в разделе объясняется, что необходимо учитывать при настройке сервера с Microsoft Internet Security and Acceleration (ISA) Server 2006 в качестве брандмауэра между пограничным транспортным сервером и транспортным сервером-концентратором.
Созданный для уменьшения контактной зоны, пограничный транспортный сервер обрабатывает весь поток почты, проходящей через Интернет, обеспечивая передачу данных по протоколу SMTP и работу служб промежуточных узлов для организации Exchange. Дополнительные уровни защиты и безопасности сообщений обеспечиваются рядом агентов, запущенных на сервере пограничного транспортного сервера и выполняющих операции с сообщениями при их обработке компонентами транспорта сообщений. Эти агенты поддерживают средства, которые обеспечивают защиту от вирусов и нежелательной почты и применяют правила транспорта для управления потоком сообщений.
Поддерживаемые варианты
развертывания
Ниже описаны поддерживаемые варианты развертывания.
- Разверните пограничный транспортный сервер Exchange Server 2007
в существующей среде Exchange Server 2003. Дополнительные сведения
см. в разделе How to Deploy an Edge
Transport Server in an Existing Exchange Server 2003
Organization.
- Рекомендуемая топология: разверните пограничный транспортный
сервер Exchange Server 2007 в демилитаризованной зоне
(промежуточной подсети) организации Exchange Server 2007 в
качестве члена рабочей группы или домена. Дополнительные сведения
см. в разделе Инструкции по выполнению
выборочной установки с использованием мастера установки Exchange
Server 2007.
- Разверните пограничный транспортный сервер Exchange Server
2007 в качестве члена организации Exchange Server 2007, в
которой есть служба каталогов Active Directory.
- Разверните несколько пограничных транспортных серверов
Exchange Server 2007 в демилитаризованной зоне домена или
рабочей группы организации Exchange Server 2007 .
Рекомендуется развертывать пограничный транспортный сервер за пределами организации (в демилитаризованной зоне). Пограничный транспортный сервер может быть развернут как изолированный сервер или как член домена Active Directory в демилитаризованной зоне.
Дополнительные сведения о развертывании пограничного транспортного сервера в демилитаризованной зоне организации Exchange Server 2007 см. в следующих разделах:
- Роль сервера
«Граничный транспорт». Обзор
- Планирование
для пограничных транспортных серверов
- Планирование
возможностей пограничного транспортного сервера
- Подписывание
сервера граничного транспорта на организацию Exchange
- Подготовка к
запуску службы Microsoft Exchange EdgeSync
- Настройка
правил пограничного транспорта для управления вирусами
В таблице ниже описаны преимущества различных типов развертывания пограничного транспортного сервера.
| Развертывание пограничного транспортного сервера | Преимущество |
|---|---|
|
В качестве части домена |
Менее безопасный способ, простое управление |
|
Изолированный сервер |
Более безопасный способ, сложное управление |
|
В качестве части рабочей группы |
Более безопасный способ, сложное управление |
|
В качестве особого леса периметра |
Более безопасный способ, простое управление, но выше требования к оборудованию (рекомендуется для крупных предприятий) |
 Примечание. |
|---|
| Для развертывания Exchange Server 2007 не требуется развертывать пограничный транспортный сервер. Можно использовать один компьютер с основными ролями сервера, такими как сервер почтовых ящиков, сервер клиентского доступа и транспортный сервер-концентратор. Этот компьютер будет принимать электронную почту из Интернета для домена, а также поддерживать антивирусные программы и средства защиты от нежелательной почты. |
При установке пограничного транспортного сервера на нем включаются функции защиты от нежелательной почты. При добавлении пограничного транспортного сервера в демилитаризованную зону Exchange Server 2007 необходимо подписать его на сайт Active Directory с помощью пограничной подписки, если выполняется одно из следующих условий:
- планируется использование средств борьбы с нежелательной
почтой, просмотра получателей или объединения списка надежных
отправителей;
- планируется развернуть безопасность домена с партнерской
организацией.
Если в демилитаризованной зоне домена или рабочей группы организации Exchange Server 2007 развернуто несколько пограничных транспортных серверов, можно распределять между ними сетевой трафик SMTP, определив в базе данных DNS почтового домена несколько MX-записей ресурсов с одинаковым приоритетом. Развертывание нескольких пограничных транспортных серверов также обеспечивает избыточность на случай сбоя сервера.
В представленной ниже таблице сравниваются возможности, предлагаемые различными вариантами развертывания пограничных транспортных серверов в организации Exchange Server 2007.
Варианты развертывания пограничного транспортного сервера
| Пограничный транспортный сервер не развернут | Пограничный транспортный сервер развернут в лесу Active Directory, который обслуживает организацию Exchange | Рекомендуется: роль пограничного транспортного сервера развертывается в рабочей группе или домене периметра сети | Комментарии или описание | |
|---|---|---|---|---|
|
Минимальное количество серверов |
1 |
2 |
2 |
Роль пограничного транспортного сервера не может быть установлена на одном компьютере с другими ролями сервера. В сценарии с одним сервером агенты защиты от нежелательной почты развертываются вручную на роли транспортного сервера-концентратора. Роль пограничного транспортного сервера не устанавливается. |
|
Изоляция сети |
Нет |
Нет |
Да |
Нежелательная почта и вредоносные программы отклоняются до того, как они попадают в сеть, только в том случае, если роль пограничного транспортного сервера развернута в демилитаризованной зоне. |
|
Агенты защиты от нежелательной почты, установленные по умолчанию |
Нет |
Да |
Да |
Если роль пограничного транспортного сервера не развернута, администратор может включить агенты защиты от нежелательной почты на транспортном сервере-концентраторе с помощью команды командной консоли Exchange. Дополнительные сведения см. в разделе Включение функции защиты от нежелательной почты на транспортном сервере-концентраторе. |
|
Пользовательский интерфейс защиты от нежелательной почты |
По умолчанию пользовательский интерфейс защиты от нежелательной почты не отображается. Он включается после развертывания вручную агентов для защиты от нежелательной почты. |
Отображается по умолчанию |
Отображается по умолчанию |
Консоль управления Exchange предоставляет интерфейс для настройки следующих компонентов:
|
|
Обработка электронной почты из Интернета |
Обработка электронной почты из Интернета включается только после задания типа использования «Интернет» на соединителе приема и создания соединителя отправки с типом использования «Интернет». |
Да |
Да |
Дополнительные сведения см. в разделе Инструкции по настройке соединителей для потока почты Интернета. |
|
Фильтрация подключений |
Да |
Да |
Да |
Фильтрация содержимого предоставляет черные и белые списки IP-адресов для защиты от нежелательной почты. Дополнительные сведения см. в разделе Фильтрация подключений. |
|
Фильтрация отправителей |
Да |
Да |
Да |
Репутация отправителей динамически анализируется и обновляется с течением времени. Дополнительные сведения см. в разделе Фильтрация отправителя. |
|
Фильтрация получателей |
Да |
Да |
Да |
Получатели проверяются с помощью глобального списка адресов. Дополнительные сведения см. в разделе Фильтрация получателей. |
|
Служба Microsoft Exchange EdgeSync |
Неприменимо |
Да |
Да |
Списки надежных отправителей Microsoft Office Outlook и глобальный список адресов передаются в зашифрованном виде в демилитаризованную зону. |
|
Код отправителя |
Да |
Да |
Да |
Код отправителя проверяется при получении электронной почты. Он включается в оценку вероятности нежелательной почты. Дополнительные сведения см. в разделе Код отправителя. |
|
Фильтрация содержимого (интеллектуальная фильтрация почты) |
Да |
Да |
Да |
Регулярные обновления Regular Microsoft SmartScreen позволяют бороться с нежелательной почтой и фишингом. Дополнительные сведения см. в разделе Настройка автоматического обновления защиты от нежелательной почты. |
|
Вероятность нежелательности почты |
Да |
Да |
Да |
Оценка вероятности нежелательной почты назначается сообщению на основе нескольких факторов. Дополнительные сведения см. в разделе Настройка порога вероятности нежелательной почты. |
|
Метка для борьты с нежелательной почтой |
Да |
Да |
Да |
Сообщения помечаются данными об оценке нежелательной почты. Дополнительные сведения см. в разделе Марки для борьбы с нежелательной почтой. |
|
Замедленная обратная реакция и искусственная задержка ответов |
Да |
Да |
Да |
Замедленная обратная реакция и искусственная задержка ответов защищают от атак типа «отказ в обслуживании» и атак с целью сбора действующих адресов. Дополнительные сведения см. в разделе Общие сведения об обратном давлении и в подразделе «Искусственная задержка ответов» раздела Фильтрация получателей. |
|
Двухуровневный карантин нежелательной почты |
Да |
Да |
Да |
Администратор может получать доступ к папке карантина нежелательной почты и освобождать сообщения для получателей. Дополнительные сведения см. в разделе Карантин нежелательной почты. |
|
Фильтрация вложений |
Нет |
Да |
Да |
Вложения удаляются на основе их размера, содержимого или типа файла. Дополнительные сведения см. в разделе Фильтрация вложений. |
|
Forefront Security для Exchange Server |
Да |
Да |
Да |
Дополнительные сведения см. в статье Защита организации Microsoft Exchange с помощью Microsoft Forefront Security для Exchange Server. |
Конфигурация сетевого адаптера в демилитаризованной зоне
В зависимости от конфигурации сетевого адаптера или брандмауэра в топологии демилитаризованной зоны можно развернуть пограничный транспортный сервер в конфигурации многосетевого узла-бастиона или в конфигурации промежуточной подсети (односетевой конфигурации), как показано на рисунке ниже.
В многосетевой конфигурации узел подключается к нескольким сетям или имеет несколько сетевых адресов. В односетевой конфигурации существует один брандмауэр с тремя сетевыми адаптерами. Такой брандмауэр обычно называется трехсетевым.
Как в многосетевой, так и в односетевой конфигурации можно использовать для настройки соединителей приема и отправки на пограничных транспортных серверах и транспортных серверах-концентраторах один или несколько IP-адресов. Дополнительные сведения о настройке соединителей см. в разделе Управление соединителями.
Факторы, которые необходимо
учитывать при развертывании пограничного транспортного сервера с
ISA Server 2006
Можно настроить пограничный транспортный сервер или транспортный сервер-концентратор для совместной работы с Microsoft Internet Security and Acceleration (ISA) Server 2006 с целью защиты сети предприятия и приложений. Дополнительные сведения о настройке брандмауэра ISA Server 2006 между транспортными серверами-концентраторами и пограничными транспортными серверами см. в разделе Использование сервера ISA Server 2006 совместно с Exchange 2007.
Если в организации Exchange с транспортными серверами-концентраторами и пограничными транспортными серверами настроен ISA Server 2006 и требуется разрешить трафик SMTP или SMTPS между транспортными серверами-концентраторами и пограничными транспортными серверами, необходимо выполнить изложенные ниже указания.
- Если трафик SMTP с пограничного транспортного сервера на
транспортный сервер-концентратор фильтруется через сервер с
ISA Server 2006, отключите на этом сервере фильтр
SMTP.
- Если трафик SMTPS с пограничного транспортного сервера на
транспортный сервер-концентратор фильтруется через сервер с
ISA Server 2006, также отключите на этом сервере фильтр
SMTP.
Если нельзя отключить фильтрацию SMTP или SMTPS на сервере с ISA Server 2006, можно добавить команды SMTP, такие как X-ANONYMOUSTLS и X-EXPS, которые относятся только к Exchange Server 2007, в надстройку фильтра SMTP на ISA Server 2006.
Дополнительные сведения об отключении фильтрации SMTP или SMTPS на ISA Server 2006 и добавлении команд SMTP на сервер ISA Server 2006 см. в разделе Сообщения задерживаются в очереди на пограничном транспортном сервере с ошибкой 500 5.1.1 "Нераспознанная команда".
Дополнительные сведения
Дополнительные сведения см. в следующих разделах:
- Планирование
функций защиты от нежелательной почты и вирусов
- Планирование
развертывания защиты от вирусов
- Планирование
сосуществования
- How to
Deploy an Edge Transport Server in an Existing Exchange Server 2003
Organization
- Новые
возможности борьбы с нежелательной почтой и защиты от
вирусов
- Управление
средствами защиты от нежелательной почты и вирусов
- Обзор правил
транспорта
- Варианты
развертывания для транспортных серверов-концентраторов
- Настройка
потока почты Интернета непосредственно через транспортный
сервер-концентратор